Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Tanja Wichmann, JUMA Consulting & Vermittlung (Einzelunternehmen)
Sonnige Au 7
68163 Mannheim
Deutschland
E-Mail: max@w2-intelligence.de

Verarbeitete Daten und Zwecke

Diese Anwendung ist ein internes B2B-Fachverfahren mit Benutzerkonten. Wir verarbeiten personenbezogene Daten ausschließlich, soweit dies für den Betrieb und die Sicherheit des Dienstes erforderlich ist:

• Stammdaten des Kontos: E-Mail-Adresse, Rolle, Passwort (ausschließlich als argon2id-Hash gespeichert, niemals im Klartext), Zeitpunkt der Registrierung und letzten Anmeldung.
• Nutzungs- und Inhaltsdaten: die von den Nutzerinnen und Nutzern im Dienst angelegten Ausgaben mit ihren Belegen (Fotos und PDF-Dateien), Reisen mit Tickets und Rechnungen, Kunden und deren Ansprechpartner (Name, Funktion, E-Mail-Adresse, Telefonnummern, Notizen), Dokumente, Firmenangaben für Provisionsabrechnungen (Name, Anschrift, Steuernummer, Bankverbindung) sowie die daraus erstellten Abrechnungen und Auswertungen.
• Prüfung hochgeladener Dateien: Jede hochgeladene Datei wird vor dem Speichern auf demselben Server auf Schadsoftware geprüft. Die Datei verlässt dabei den Server nicht.
• Sitzungsdaten: ein technisch notwendiges, serverseitig gespeichertes Sitzungs-Cookie (__Host-*), das keine Tracking-Funktion hat.
• Problemberichte: Wenn Sie über „Problem melden“ eine Meldung senden, speichern wir Ihre beiden Freitexte, den Zeitpunkt, die aufgerufene Seite (ohne Kennungen), Ihren Browser (nur Name und Hauptversion), Ihre Rolle, die Version der Anwendung, Fehlercodes und bereinigte Protokollzeilen. Ihre E-Mail-Adresse und Ihre Benutzerkennung gehören nur dann zur Meldung, wenn Sie das Kästchen „Sie dürfen mich zu dieser Meldung kontaktieren“ (falls angeboten) selbst ankreuzen, sonst ist die Meldung anonym. Das Formular weist darauf hin, dass die Meldung auch mit KI (Claude von Anthropic) ausgewertet wird, und bittet, keine personenbezogenen Daten einzugeben.
• Server-Protokolle: IP-Adresse, Zeitpunkt und technische Metadaten der Anfragen, insbesondere zur Abwehr von Missbrauch (z. B. Anmelde-Ratenbegrenzung) und zur Fehlersuche.

Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses), lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Dienst) sowie, soweit einschlägig, lit. c DSGVO (rechtliche Verpflichtungen). Werden die Daten im Auftrag eines Kunden verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

Empfänger und Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Auftragsverarbeiter (Art. 28 DSGVO) ein, insbesondere für das Hosting der Infrastruktur. Die Server befinden sich in der Europäischen Union. Eine Übermittlung in Drittländer findet nur statt, wenn hierfür ein gültiger Übermittlungsmechanismus (z. B. Standardvertragsklauseln) besteht. Betrieb und Wartung der Anwendung übernimmt W² Applied Intelligence UG (haftungsbeschränkt), Wilhelm-Leuschner-Str. 11, 68163 Mannheim. Hosting-Anbieter ist die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Die Anwendung läuft auf einem Server in Falkenstein (Deutschland), die verschlüsselten nächtlichen Sicherungskopien liegen im Hetzner Object Storage in Helsinki (Finnland). Ein E-Mail-Dienst wird nicht eingesetzt, die Anwendung versendet keine E-Mails.

Problemberichte gehen an den technischen Dienstleister, der diese Anwendung betreibt, und werden dort ausgewertet, auch mit KI (Claude von Anthropic, Anthropic PBC, USA). Ob Ihre Freitexte und Ihre Kontaktangabe dabei übermittelt werden, hängt von der Einstellung des Betreibers ab: Ohne seine Freigabe gehen nur Metadaten (Seite, Zeit, Version, Browser, Rolle, Fehlercodes) hinaus, Ihre Texte bleiben in dieser Anwendung. Für diese Anwendung ist die Freigabe erteilt: Ihre Freitexte, die bereinigten Protokollzeilen und, wenn Sie das Kontaktkästchen ankreuzen, Ihre Kontaktangabe gehen an W² Applied Intelligence. Bevor eine Meldung mit KI ausgewertet wird, entfernt W² Ihre Kontaktangabe aus ihr. Anthropic wird dafür als Unterauftragsverarbeiter auf Grundlage seines Auftragsverarbeitungsvertrags eingesetzt. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck ihrer Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Mit der Löschung Ihres Kontos werden Ihre E-Mail-Adresse, Ihre Zugangsdaten und Ihre Sitzungen entfernt. Von Ihnen angelegte Inhalte bleiben als Daten der Organisation erhalten, mit einer Kennung, die Sie nicht mehr benennt. Im Einzelnen gilt:

• Sitzungen: enden nach einer Stunde ohne Aktivität, spätestens nach zwölf Stunden. Abgelaufene Sitzungen werden nachts gelöscht.
• Sicherheitsprotokoll (Audit-Log, enthält nur Kennungen und Ereignisarten): 12 Monate.
• Problemberichte: nach der eingestellten Frist ohne Änderung, höchstens 365 Tage, wenn der Betreiber nichts anderes festgelegt hat.
• Zugriffsprotokoll des Webservers (IP-Adresse, Pfad ohne Parameter, Browserkennung): 14 Tage. System- und SSH-Protokolle des Servers: 30 Tage. Protokolle der Anwendungsbehälter haben nur eine Größengrenze und keine feste Frist.
• Verschlüsselte Sicherungskopien der Datenbank (nächtliche Sicherung, die Sicherung vor einer Aktualisierung der Anwendung und, wenn eingeschaltet, das Archiv zur Wiederherstellung auf einen Zeitpunkt): Backups werden nach 14 Tagen im nächsten nächtlichen Löschlauf gelöscht. Backups unter einer Löschsperre bleiben bis zum Ablauf der Sperre erhalten, höchstens 30 Tage. Das Archiv zur Wiederherstellung auf einen Zeitpunkt hält höchstens 14 Tage. Sie liegen verschlüsselt, die nächtliche Sicherung und das Archiv auf Servern in der EU.

Gelöschte Ausgaben, Reisen, Kunden, Ansprechpartner und Dokumente liegen 30 Tage im Papierkorb und können in dieser Zeit wiederhergestellt werden. Danach werden sie samt ihren Dateien (Belege, Tickets, Rechnungen) im nächsten täglichen Löschlauf endgültig entfernt. Was nicht gelöscht wird, bleibt gespeichert, solange die Anwendung genutzt wird. Die Einhaltung steuer- und handelsrechtlicher Aufbewahrungsfristen (§ 147 AO, § 257 HGB) liegt beim Verantwortlichen.

Ihre Rechte

Sie haben nach der DSGVO insbesondere folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Auskunft und Berichtigung können Sie selbst in der Anwendung wahrnehmen: Unter „Kontosicherheit“ laden Sie Ihre Daten samt Ihren Kontodaten (E-Mail-Adresse, Rolle, Anmeldungen) als Datei herunter und korrigieren Ihre E-Mail-Adresse. Dort können Sie auch Ihr Konto und Ihre personenbezogenen Daten löschen lassen.

Zur Ausübung Ihrer Rechte, auch wenn die Selbstbedienung nicht genügt, genügt eine Nachricht an max@w2-intelligence.de.

Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart.

Datensicherheit

Der Dienst ist nach dem Stand der Technik abgesichert: Übertragung ausschließlich über TLS, Passwörter werden mit argon2id gehasht, für Konten steht eine Zwei-Faktor-Authentisierung (TOTP) bereit, und der Datenzugriff ist auf Datenbankebene je Nutzer und Rolle beschränkt (Row-Level-Security).